(57)【特許請求の範囲】
【請求項１】
所定の機能を有する機能部を具備する機器に備えられ、時計部と、機器制御処理部とからなる機器制御装置であって、
前記時計部は、
電源と、
前記電源から供給される電力を受けて一定周期の発振信号を生成する発振部と、
前記発振部により生成された発振信号から時刻を生成する時刻制御部と、
前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止する時刻設定部と、
前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力する信号送信部と
を備え、
前記機器制御処理部は、
前記信号送信部から一定間隔で出力される送信データを受信する信号受信部と、
前記信号受信部により受信した送信データから時刻の情報を取得する時刻取得部と、
前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、送信した時刻の情報に対する時刻監査証明書データを受信する時刻監査制御部と、
前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内である場合に、前記機能部における前記所定の機能の実行許可を出力する制御部と
を備え、
前記発振部は、一定周期の発振信号を生成する第１の発振部及び第２の発振部からなり、
前記時刻制御部は、
前記第１の発振部により生成された発振信号から時刻を生成する第１の時刻制御部と、
前記第２の発振部により生成された発振信号から時刻を生成する第２の時刻制御部とからなり、
前記時刻設定部は、前記第１の時刻制御部、及び、前記第２の時刻制御部それぞれへ時刻の設定を一度だけ行い、以降は時刻の設定を禁止し、
前記信号送信部は、前記送信データとして、前記第１の時刻制御部によって生成された時刻の情報を含む第１の送信データ、及び、前記第２の時刻制御部によって生成された時刻の情報を含む第２の送信データを一定間隔で出力し、
前記時刻取得部は、前記送信データとして受信した第１の送信データ及び第２の送信データそれぞれから時刻の情報を取得し、
前記機器制御処理部は、さらに、前記実行要求の受信時に前記時刻取得部により第１の送信データから得られた時刻と第２の送信データから得られた時刻との誤差が正常の範囲内である場合に、前記機能部における前記所定の機能の実行許可を出力する、
ことを特徴とする機器制御装置。
【請求項２】
前記時刻監査制御部は、最初に受信した時刻監査証明書データに設定されている有効期限を機器の有効期限として記憶部に保持し、
前記機器制御処理部は、前記所定の機能の実行要求を受信し、前記時刻監査制御部が直前に受信した時刻監査証明書データに時刻が正常であることを示す情報が設定されており、かつ、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記記憶部に記憶されている、機器の有効期限内である場合に、前記機能部における前記所定の機能の実行許可を出力する、
ことを特徴とする請求項１に記載の機器制御装置。
【請求項３】
前記時刻監査制御部は、有効期間延長の指示が入力された場合に、前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、この送信した時刻の情報に対する時刻監査証明書データに設定されている有効期限を機器の有効期限として前記記憶部に保持することを特徴とする請求項２に記載の機器制御装置。
【請求項４】
前記時計部及び前記機器制御処理部は耐タンパ性を有することを特徴とする請求項１から請求項３のいずれかの項に記載の機器制御装置。
【請求項５】
前記時計部と、前記機器制御処理部とは着脱可能であることを特徴とする請求項１から請求項４のいずれかの項に記載の機器制御装置。
【請求項６】
前記機器制御処理部に新たな時計部が装着された場合に、
前記時刻監査制御部は、前記時刻取得部により、当該新たな時計部の出力した送信データから取得された時刻の情報を、時刻監査局システムに送信することを特徴とする請求項５に記載の機器制御装置。
【請求項７】
前記機器制御処理部は、前記時計部の交換を検出した場合に、受信した時刻監査証明書データが無効であることを示す情報を機器制御情報記憶部に設定する検出部をさらに備え、
前記制御部は、時刻監査証明書データが無効であることを示す情報が前記機器制御情報記憶部に設定されている場合は、前記所定の機能の実行許可の出力を規制する
ことを特徴とする請求項５または請求項６に記載の機器制御装置。
【請求項８】
前記信号送信部は、暗号化された前記時刻である暗号化時刻の情報を含む送信データを出力し、
前記時刻取得部は、前記送信データに設定されている暗号化時刻の情報を復号化する、
ことを特徴とする請求項５から請求項７のいずれかの項に記載の機器制御装置。
【請求項９】
前記時計部は、
時刻と、当該時刻の暗号化時刻とを対応付けた情報を保持する暗号化時刻保持部をさらに有し、
前記信号送信部は、前記時刻制御部によって生成された時刻に対応した暗号化時刻の情報を前記暗号化時刻保持部から読み出し、読み出した暗号化時刻の情報を含む送信データを出力する、
ことを特徴とする請求項８に記載の機器制御装置。
【請求項１０】
前記機器制御処理部は、
暗号化時刻と、復号化した時刻を対応付けた情報を保持する復号化時刻保持部をさらに有し、
前記時刻取得部は、前記信号受信部により受信した送信データに設定された暗号化時刻に対応する、復号化した時刻を前記復号化時刻保持部から読み出す、
ことを特徴とする請求項８または請求項９に記載の機器制御装置。
【請求項１１】
前記時刻取得部は、前記信号受信部により受信した送信データに設定されている暗号化時刻の情報が、過去に受信した送信データに設定されている暗号化時刻の情報ではない場合に当該送信データが正当であると判断することを特徴とする請求項８から請求項１０のいずれかの項に記載の機器制御装置。
【請求項１２】
前記機器制御処理部は、前記時計部の有効期限まで所定の期間となったときに、有効期限が近いことを通知する出力部をさらに備えることを特徴とする請求項５から請求項１１のいずれかの項に記載の機器制御装置。
【請求項１３】
前記時刻設定部は、時刻設定要求を受信し、前記時計部の備える記憶部に時刻の初期設定を行ったことを示す情報が設定されていない場合に、前記時刻制御部へ時刻の設定を行うとともに、時刻の初期設定を行ったことを示す情報を当該記憶部に書き込むことを特徴とする請求項１から請求項１２のいずれかの項に記載の機器制御装置。
【請求項１４】
前記時刻取得部は、取得した時刻の情報が、過去に取得した時刻より進んだ時刻である場合に、取得した時刻の情報が正しいと判断することを特徴とする請求項１から請求項１３のいずれかの項に記載の機器制御装置。
【請求項１５】
前記機器制御処理部は、前記所定の機能の実行許可として、前記機器において前記機能部への電源供給を制御する電源制御部へ、前記機能部への電源供給の許可を出力することを特徴とする請求項１から請求項１４のいずれかの項に記載の機器制御装置。
【請求項１６】
所定の機能を有する機能部と、前記機能部への電源供給を制御する電源制御部と、時刻を生成する時計部と、前記時計部により生成された時刻を用いて前記機能部の動作を制御する機器制御処理部とを備えた電気機器であって、
前記時計部は、
電源と、
前記電源から供給される電力を受けて一定周期の発振信号を生成する発振部と、
前記発振部により生成された発振信号から時刻を生成する時刻制御部と、
前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止する時刻設定部と、
前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力する信号送信部と
を備え、
前記機器制御処理部は、
前記信号送信部から一定間隔で出力される送信データを受信する信号受信部と、
前記信号受信部により受信した送信データから時刻の情報を取得する時刻取得部と、
前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、送信した時刻の情報に対する時刻監査証明書データを受信する時刻監査制御部と、
前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内である場合に、前記機能部への電源供給の許可を前記電源制御部へ出力する制御部と
を備え、
前記電源制御部は、前記機能部への電源供給の許可を前記機器制御処理部から受け、前記機能部へ電源供給を行い、
前記発振部は、一定周期の発振信号を生成する第１の発振部及び第２の発振部からなり、
前記時刻制御部は、
前記第１の発振部により生成された発振信号から時刻を生成する第１の時刻制御部と、
前記第２の発振部により生成された発振信号から時刻を生成する第２の時刻制御部とからなり、
前記時刻設定部は、前記第１の時刻制御部、及び、前記第２の時刻制御部それぞれへ時刻の設定を一度だけ行い、以降は時刻の設定を禁止し、
前記信号送信部は、前記送信データとして、前記第１の時刻制御部によって生成された時刻の情報を含む第１の送信データ、及び、前記第２の時刻制御部によって生成された時刻の情報を含む第２の送信データを一定間隔で出力し、
前記時刻取得部は、前記送信データとして受信した第１の送信データ及び第２の送信データそれぞれから時刻の情報を取得し、
前記機器制御処理部は、さらに、前記実行要求の受信時に前記時刻取得部により第１の送信データから得られた時刻と第２の送信データから得られた時刻との誤差が正常の範囲内である場合に、前記機能部における前記所定の機能の実行許可を出力する、
ことを特徴とする電気機器。
【請求項１７】
所定の機能を有する機能部を具備する機器に備えられ、時計部と、機器制御処理部とからなる機器制御装置に用いられる機器制御方法であって、
前記時計部において、
発振部が、第１の発振部及び第２の発振部により一定周期の発振信号を生成することで、当該時計部が備える電源から供給される電力を受けて一定周期の発振信号を生成し、
時刻制御部が、第１の時刻制御部によって前記第１の発振部により生成された発振信号から時刻を生成し、第２の時刻制御部によって前記第２の発振部により生成された発振信号から時刻を生成することで、前記発振部により生成された発振信号から時刻を生成し、
時刻設定部が、前記第１の時刻制御部、及び、前記第２の時刻制御部それぞれへ時刻の設定を一度だけ行い、以降は時刻の設定を禁止することで、前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止し、
信号送信部が、前記送信データとして、前記第１の時刻制御部によって生成された時刻の情報を含む第１の送信データ、及び、前記第２の時刻制御部によって生成された時刻の情報を含む第２の送信データを一定間隔で出力することで、前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力し、
前記機器制御処理部において、
信号受信部が、前記信号送信部から一定間隔で出力される送信データを受信し、
時刻取得部が、前記送信データとして受信した第１の送信データ及び第２の送信データそれぞれから時刻の情報を取得することで、前記信号受信部により受信した送信データから時刻の情報を取得し、
時刻監査制御部が、前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内であり、さらに、第１の送信データから得られた時刻と第２の送信データから得られた時刻との誤差が正常の範囲内である場合に、前記機能部における前記所定の機能の実行許可を出力する、
ことを特徴とする機器制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機器制御装置、電気機器、及び、機器制御方法に関する。
【背景技術】
【０００２】
従来、都市ガスやＬＰガス等を利用するガス器具の使用状態を監視するガス遮断装置では、内部に電池電源を持ち、電池使用時間を計測することで、ガス遮断を制御している（例えば、特許文献１参照）。
【特許文献１】特許第３６２０４３８号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来のガス遮断装置では、内部の時計計測手段が正常に動作していることを確認する手段が提供されておらず、さらに、使用期限の設定も正当な当事者だけが行える仕組みではなく、外部からの改ざんが可能である。また、家電などの老朽化による事故を防ぐため、２００７年１１月１４日には改正消安法が可決成立し、また、電安法も改正されたが、この背景の中にも、保守業者によって不正な改造が行われていたという問題が指摘されていた。
【０００４】
本発明は、このような事情を考慮してなされたもので、その目的は、外部から操作することのできない時計が生成する時刻を用いて機器の使用期限内であるかを判断し、使用期限を越えた場合にはその機器が動作しないように制御することができる機器制御装置、電気機器、及び、機器制御方法を提供することにある。
【課題を解決するための手段】
【０００５】
この発明は、上記の課題を解決すべくなされたもので、所定の機能を有する機能部を具備する機器に備えられ、時計部と、機器制御処理部とからなる機器制御装置であって、前記時計部は、電源と、前記電源から供給される電力を受けて一定周期の発振信号を生成する発振部と、前記発振部により生成された発振信号から時刻を生成する時刻制御部と、前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止する時刻設定部と、前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力する信号送信部とを備え、前記機器制御処理部は、前記信号送信部から一定間隔で出力される送信データを受信する信号受信部と、前記信号受信部により受信した送信データから時刻の情報を取得する時刻取得部と、前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、送信した時刻の情報に対する時刻監査証明書データを受信する時刻監査制御部と、前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内である場合に、前記機能部における前記所定の機能の実行許可を出力する制御部とを備える、ことを特徴とする機器制御装置である。
【０００６】
また、本発明は、上述する機器制御装置であって、前記時刻監査制御部は、最初に受信した時刻監査証明書データに設定されている有効期限を機器の有効期限として記憶部に保持し、前記機器制御処理部は、前記所定の機能の実行要求を受信し、前記時刻監査制御部が直前に受信した時刻監査証明書データに時刻が正常であることを示す情報が設定されており、かつ、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記記憶部に記憶されている、機器の有効期限内である場合に、前記機能部における前記所定の機能の実行許可を出力する、ことを特徴とする。
【０００７】
また、本発明は、上述する機器制御装置であって、前記時刻監査制御部は、有効期間延長の指示が入力された場合に、前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、この送信した時刻の情報に対する時刻監査証明書データに設定されている有効期限を機器の有効期限として前記記憶部に保持することを特徴とする。
【０００８】
また、本発明は、上述する機器制御装置であって、前記発振部は、一定周期の発振信号を生成する第１の発振部及び第２の発振部からなり、前記時刻制御部は、前記第１の発振部により生成された発振信号から時刻を生成する第１の時刻制御部と、前記第２の発振部により生成された発振信号から時刻を生成する第２の時刻制御部とからなり、前記時刻設定部は、前記第１の時刻制御部、及び、前記第２の制御部それぞれへ時刻の設定を一度だけ行い、以降は時刻の設定を禁止し、前記信号送信部は、前記送信データとして、前記第１の時刻制御部によって生成された時刻の情報を含む第１の送信データ、及び、前記第２の時刻制御部によって生成された時刻の情報を含む第２の送信データを一定間隔で出力し、前記時刻取得部は、前記送信データとして受信した第１の送信データ及び第２の送信データそれぞれから時刻の情報を取得し、前記機器制御処理部は、さらに、前記実行要求の受信時に前記時刻取得部により第１の送信データから得られた時刻と第２の送信データから得られた時刻との誤差が正常の範囲内である場合に、前記機能部における前記所定の機能の実行許可を出力する、ことを特徴とする。
【０００９】
また、本発明は、上述する機器制御装置であって、前記時計部及び前記機器制御処理部は耐タンパ性を有することを特徴とする。
【００１０】
また、本発明は、上述する機器制御装置であって、前記時計部と、前記機器制御処理部とは着脱可能であることを特徴とする。
【００１１】
また、本発明は、上述する機器制御装置であって、前記機器制御処理部に新たな時計部が装着された場合に、前記時刻監査制御部は、前記時刻取得部により、当該新たな時計部の出力した送信データから取得された時刻の情報を、時刻監査局システムに送信することを特徴とする。
【００１２】
前記機器制御処理部は、前記時計部の交換を検出した場合に、受信した時刻監査証明書データが無効であることを示す情報を機器制御情報記憶部に設定する検出部をさらに備え、前記制御部は、時刻監査証明書データが無効であることを示す情報が前記機器制御情報記憶部に設定されている場合は、前記所定の機能の実行許可の出力を規制することを特徴とする。
【００１３】
また、本発明は、上述する機器制御装置であって、前記信号送信部は、暗号化された前記時刻である暗号化時刻の情報を含む送信データを出力し、前記時刻取得部は、前記送信データに設定されている暗号化時刻の情報を復号化する、ことを特徴とする。
【００１４】
また、本発明は、上述する機器制御装置であって、前記時計部は、時刻と、当該時刻の暗号化時刻とを対応付けた情報を保持する暗号化時刻保持部をさらに有し、前記信号送信部は、前記時刻制御部によって生成された時刻に対応した暗号化時刻の情報を前記暗号化時刻保持部から読み出し、読み出した暗号化時刻の情報を含む送信データを出力する、ことを特徴とする。
【００１５】
また、本発明は、上述する機器制御装置であって、前記機器制御処理部は、暗号化時刻と、復号化した時刻を対応付けた情報を保持する復号化時刻保持部をさらに有し、前記時刻取得部は、前記信号受信部により受信した送信データに設定された暗号化時刻に対応する、復号化した時刻を前記復号化時刻保持部から読み出す、ことを特徴とする。
【００１６】
また、本発明は、上述する機器制御装置であって、前記時刻取得部は、前記信号受信部により受信した送信データに設定されている暗号化時刻の情報が、過去に受信した送信データに設定されている暗号化時刻の情報ではない場合に当該送信データが正当であると判断することを特徴とする。
【００１７】
また、本発明は、上述する機器制御装置であって、前記機器制御処理部は、前記時計部の有効期限まで所定の期間となったときに、有効期限が近いことを通知する出力部をさらに備えることを特徴とする。
【００１８】
また、本発明は、上述する機器制御装置であって、前記時刻設定部は、時刻設定要求を受信し、前記時計部の備える記憶部に時刻の初期設定を行ったことを示す情報が設定されていない場合に、前記時刻制御部へ時刻の設定を行うとともに、時刻の初期設定を行ったことを示す情報を当該記憶部に書き込むことを特徴とする。
【００１９】
また、本発明は、上述する機器制御装置であって、前記時刻取得部は、取得した時刻の情報が、過去に取得した時刻より進んだ時刻である場合に、取得した時刻の情報が正しいと判断することを特徴とする。
【００２０】
また、本発明は、上述する機器制御装置であって、前記機器制御処理部は、前記所定の機能の実行許可として、前記機器において前記機能部への電源供給を制御する電源制御部へ、前記機能部への電源供給の許可を出力することを特徴とする。
【００２１】
また、本発明は、所定の機能を有する機能部と、前記機能部への電源供給を制御する電源制御部と、時刻を生成する時計部と、前記時計部により生成された時刻を用いて前記機能部の動作を制御する機器制御処理部とを備えた電気機器であって、前記時計部は、電源と、前記電源から供給される電力を受けて一定周期の発振信号を生成する発振部と、前記発振部により生成された発振信号から時刻を生成する時刻制御部と、前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止する時刻設定部と、前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力する信号送信部とを備え、前記機器制御処理部は、前記信号送信部から一定間隔で出力される送信データを受信する信号受信部と、前記信号受信部により受信した送信データから時刻の情報を取得する時刻取得部と、前記時刻取得部により取得された時刻の情報を時刻監査局システムに送信し、送信した時刻の情報に対する時刻監査証明書データを受信する時刻監査制御部と、前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内である場合に、前記機能部への電源供給の許可を前記電源制御部へ出力する制御部とを備え、前記電源制御部は、前記機能部への電源供給の許可を前記機器制御処理部から受け、前記機能部へ電源供給を行う、ことを特徴とする電気機器である。
【００２２】
また、本発明は、所定の機能を有する機能部を具備する機器に備えられ、時計部と、機器制御処理部とからなる機器制御装置に用いられる機器制御方法であって、前記時計部において、発振部が、当該時計部が備える電源から供給される電力を受けて一定周期の発振信号を生成し、時刻制御部が、前記発振部により生成された発振信号から時刻を生成し、時刻設定部が、前記時刻制御部へ時刻の設定を一度だけ行い、以降は時刻の設定を禁止し、信号送信部が、前記時刻制御部によって生成された時刻の情報を含む送信データを一定間隔で出力し、前記機器制御処理部において、信号受信部が、前記信号送信部から一定間隔で出力される送信データを受信し、時刻取得部が、前記信号受信部により受信した送信データから時刻の情報を取得し、時刻監査制御部が、前記所定の機能の実行要求を受信し、当該実行要求の受信時に前記時刻取得部により取得された時刻が、前記時刻監査制御部により受信した時刻監査証明書データから得られた有効期限内である場合に、前記機能部における前記所定の機能の実行許可を出力する、ことを特徴とする機器制御方法である。
【発明の効果】
【００２３】
本発明によれば、出荷時にのみ時刻設定が可能であり、以降は外部時刻からの校正・補正を受けないことから改ざんを受けないローカル時計による時刻を用いて、電気機器が安全に使用できることを保証する有効期限内であるかを判定し、家電等としての機能を行わせることができる。加えて、この電気機器の有効期限は、時刻監査機関に依存する。従って、時刻を改ざんして電気機器を動作させることはできず、有効期限を越えて不正に電気機器が使用し続けられるのを防ぐことが可能となる。
また、ローカル時計から出力される時刻ラベルが暗号化されているため、電気機器に未来の時刻を入れることを防ぐことができる。そして、この時刻ラベルをあらかじめ暗号化してローカル時計に保持することにより、ローカル時計に複雑な暗号処理装置を備える必要がない。さらに、過去に受けた時刻を再度受けることができず、リプレイ攻撃（暗号化されたデータを観察し、同じ内容を後ほど送信する）を遮断することも可能である。
また、時刻監査後にローカル時計が大幅にずれてしまった場合でも、２つの時計の時刻によりチェックを行うことで、不正な時刻による電気機器の制御が行われないようにすることができる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照して本発明の一実施の形態を説明する。
図１は、本発明の一実施の形態による機器制御システムの全体構成図である。同図に示すように、機器制御システムは、電気機器としての家電機器１０と、ＴＡ（Time Authority：時刻配信監査局）の時刻監査局システム７０とからなる。時刻監査局システム７０は、家電機器１０が内部に備える独立電源からの電力の供給を受けて生成した時刻を監査し、その監査結果を示す時刻監査証明書を発行する。家電機器１０は、例えば、電気により動作するガス機器、暖房機器等の任意の機器であり、時刻監査局システム７０とは、例えば、ＩＳＤＮなどのネットワークにより接続される。
【００２５】
家電機器１０は、ローカル時計がないと起動せず、このローカル時計の使用期限は、家電機器１０の動作保証期限と同等または短いため、ローカル時計の使用期限が来た場合には交換が必要である。また、ローカル時計が発行可能な時刻（容量）は、例えば、２年、３年、５年、のように制限できる。
家電機器１０のローカル時計は、自身の備える電池の電力により、ＴＡの時刻により設定された時刻をカウントするものであり、家電機器１０の工場出荷時に、ローカル時計を装着した状態でＴＡによる時刻監査を受ける。時刻監査局システム７０は、家電機器１０の動作保証期限、または、家電機器１０が次回検査までに使用可能な期限を示す有効期限を持った時刻監査証明書を発行する。時刻監査は工場出荷時に１回行われるが、工場または専門スタッフによる再時刻監査実施により期限の延長が可能となる。ローカル時計の交換時にも時刻監査を受けることになるが、工場出荷時、または、専門スタッフ等による再時刻監査実施時の最初の時刻監査証の期限を越える時刻監査証を受けたとしても、この最初の有効期限を越えて家電機器１０を使用することは出来ない。
【００２６】
図２は、本発明の一実施の形態による家電機器１０の機能ブロック図である。同図において、家電機器１０は、ローカル時計部２０、電源制御処理部３０、通信手段５０、及び、表示手段５２からなる機器制御装置と、電源スイッチ６０、第一電源制御部６１、及び、メイン機能部６２とを備える。
【００２７】
通信手段５０は、ネットワークを介して他の装置とのデータの送受信を行い、ここでは、時刻監査局システム７０との通信を行う。表示手段５２は、ＬＣＤ（Liquid Crystal Display）などのディスプレイやランプである。メイン機能部６２は、例えば、ガス機器、暖房機器等の家電としての機能を実現するが、機器の種類、及び、そのメイン機能は任意のものとすることができる。電源スイッチ６０は、メイン機能部６２を動作させるためのスイッチであり、第一電源制御部６１は、外部の電源により電源制御処理部３０へ常時電源供給を行うとともに、電源制御処理部３０から電源ＯＮの許可を受信したときにメイン機能部６２へ電源供給を行う。
【００２８】
ハードウェアセキュリティモジュール（ＨＳＭ）であるローカル時計部２０は、電源制御処理部３０と着脱可能であり、時刻設定手段２１、独立電源手段２２ａ及び２２ｂ、発振手段２３ａ及び２３ｂ、時刻制御手段２４ａ及び２４ｂ、時刻Ａ一時保持手段２５ａ、時刻Ｂ一時保持手段２５ｂ、暗号化時刻ラベル保持手段２６ａ及び２６ｂ、信号送信手段２７を備える。
【００２９】
独立電源手段２２ａは発振手段２３ａに、独立電源手段２２ｂは発振手段２３ｂに電力を供給する。発振手段２３ａ及び２３ｂは、源発振器による周波数に基づいて所定の周波数の発振信号を生成し、出力する。時刻制御手段２４ａは発振手段２３ａから出力された発振信号を用いて時刻を生成し、生成した時刻を時刻Ａ一時保持手段２５ａに一時的に書き込む。同様に、時刻制御手段２４ｂは発振手段２３ｂから出力された周波数信号を用いて時刻を生成し、生成した時刻を時刻Ｂ一時保持手段２５ｂに一時的に書き込む。ここでは、時刻制御手段２４ａが発振手段２３ａからの発振信号である発振信号Ａを用いて生成する時刻を時刻Ａとし、時刻制御手段２４ｂが発振手段２３ｂからの発振信号である発振信号Ｂを用いて生成する時刻を時刻Ｂする。暗号化時刻ラベル保持手段２６ａ及び２６ｂは、時刻と、当該時刻に対応した暗号化時刻ラベルとを対応付けた情報を記憶しており、時刻制御手段２４ａは生成した時刻Ａに対応した暗号化時刻ラベルである暗号時刻Ａを暗号化時刻ラベル保持手段２６ａから読み出して信号送信手段２７に出力し、時刻制御手段２４ｂは生成した時刻Ｂに対応した暗号化時刻ラベルである暗号時刻Ｂを暗号化時刻ラベル保持手段２６ｂから読み出して信号送信手段２７に出力する。信号送信手段２７は、暗号時刻Ａ及び暗号時刻Ｂの情報、当該ローカル時計部２０の識別番号、及び、正当性確認のための情報を電源制御処理部３０に出力する。
【００３０】
ＨＳＭである電源制御処理部３０は、電源供給の許可・不許可を第一電源制御部６１へ指示することによりメイン機能部６２の動作許可・不許可を制御し、外部からの電源供給により動作する。電源制御処理部３０は、信号受信手段３１、復号化手段３２、暗号化時刻ラベル保持手段３３ａ及び３３ｂ、ローカル時計識別番号確認手段３４、時刻Ａ保持手段３５ａ、時刻Ｂ保持手段３５ｂ、電源制御手段３６、時刻監査制御手段３７、署名鍵・証明書保持手段３８、時刻監査証明書保持手段３９、及び、時刻比較手段４０を備える。
【００３１】
信号受信手段３１は、ローカル時計部２０から暗号時刻Ａ、暗号時刻Ｂ、ローカル時計部２０の識別番号、及び、正当性確認情報を受信する。復号化手段３２は、時刻Ａと暗号時刻Ａを対応づけた情報を記憶する暗号化時刻ラベル保持手段３３ａを参照して、受信した暗号時刻Ａを時刻Ａに復号化し、時刻Ａ保持手段３５ａに書き込む。同様に、復号化手段３２は、時刻Ｂと暗号時刻Ｂを対応づけた情報を記憶する暗号化時刻ラベル保持手段３３ｂを参照して受信した暗号時刻Ｂを時刻Ｂに復号化し、時刻Ｂ保持手段３５ｂに書き込む。ローカル時計識別番号確認手段３４は、受信したローカル時計部２０の識別番号及び正当性確認情報により、暗号時刻Ａ、暗号時刻Ｂを出力したローカル時計部２０の正当性を確認する。
【００３２】
時刻監査制御手段３７は、時刻監査局システム７０へ時刻Ａの情報と、署名鍵・証明書保持手段３８から読み出した当該家電機器１０の機器認証証明書データ（以下、単に「機器認証証明書」と記載）とを設定した時刻監査要求を時刻監査局システム７０へ送信し、返送された時刻監査証明書データ（以下、単に「時刻監査証明書」または「時刻監査証」と記載）を時刻監査証明書保持手段３９に書き込む。電源制御手段３６は、第一電源制御部６１から電源ＯＮ要求を受信し、家電機器１０の定期点検の期限が過ぎていないか、あるいは、家電機器１０の動作保証期限が過ぎていないかを確認して、メイン機能部６２が動作可能であるかを判定し、動作可能である場合に第一電源制御部６１へ電源ＯＮ許可を指示する。時刻比較手段４０は、現在保持している時刻の情報が正しいか否かを時刻Ａと時刻Ｂを比較して判断する。
【００３３】
時刻監査局システム７０は、時刻監査要求を受信する時刻監査手段７１と、この受信した時刻監査要求に設定されている時刻に対する時刻監査証明書を返送する時刻監査証発行手段７２とを備える。時刻監査証明書には、監査対象の時刻が、時刻監査局システム７０で管理する、高精度にＵＴＣ（Coordinated Universal Time：協定世界時）に同期した正確な現在時刻からどれくらいずれの時間があるかを示す誤差の情報と、有効期限の情報とに時刻監査局の電子署名を付加した情報が含まれるが、監査対象の時刻とＵＴＣの時刻とのずれが大きい場合には、時刻監査証明書の有効期限として零の値が設定される。
【００３４】
図３に、ローカル時計部２０の暗号化時刻ラベル保持手段２６ａが保持するデータの例を示す。なお、暗号化時刻ラベル保持手段２６ｂも同様のデータを保持する。
暗号化時刻ラベル保持手段２６ａ、２６ｂは、時刻の情報を示す時刻ラベルと、当該時刻ラベルに対応した暗号化時刻ラベルと、当該暗号化時刻ラベル及び当該識別番号から生成したハッシュ値と、残日数ラベルとを対応付けた情報及びローカル時計部２０を特定する識別番号とを保持しており、これらの情報が送信データとして電源制御処理部３０へ出力される。このようなデータを保持することにより、ローカル時計部２０は、暗号化時刻ラベル保持手段２６ａ及び２６ｂの保持する時刻ラベルにおいて示される日時の期間のみ、自身の生成した時刻Ａ、時刻Ｂの情報を電源制御処理部３０に出力し、その期間を過ぎた場合にはローカル時計部２０から時刻を出力できないようにすることが可能となる。以下では、時刻Ａに対応した暗号化時刻ラベル、識別番号、ハッシュ値、及び、残日数ラベルを暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、及び、残日数ラベルＡとし、時刻Ｂに対応した暗号化時刻ラベル、識別番号、ハッシュ値、及び、残日数ラベルを暗号化時刻ラベルＢ、識別番号Ｂ、ハッシュ値Ｂ、及び、残日数ラベルＢと記載する。
【００３５】
なお、暗号化時刻ラベル保持手段２６ａ、２６ｂに保持されるハッシュ値は、例えば、暗号化時刻ラベルと識別番号とを結合した情報から、ＳＨＡ１（Secure Hash Algorithm 1）などのアルゴリズムにより１６進数４０桁（１６０ビット）のハッシュ値を算出し、その算出したハッシュ値の前半２０桁のみを抽出した値とする。また、残日数ラベルは、保持されている時刻ラベルのうち、最終の時刻に対応したラベルにより示される日付まで、すなわち、使用できなくなる日にちに達するまで、あと何日であるかの情報が示される。この残日数ラベルにより示される残日数を表示手段５２に表示させることにより、ユーザへローカル時計部２０の有効期限終了が近いことを知らせ、新たなローカル時計部２０に交換するよう促すことができる。なお、残日数ラベルに「−１」が設定される日時は、ローカル時計部２０の有効期限に達するまでに十分な日数があることを示す。また、残日数のかわりに残時間を用いることでもよい。
【００３６】
図４に、電源制御処理部３０の暗号化時刻ラベル保持手段３３ａが保持するデータの例を示す。なお、暗号化時刻ラベル保持手段３３ｂも同様のデータを保持する。
同図において、暗号化時刻ラベル保持手段３３ａ、３３ｂは、暗号化時刻ラベルと、当該暗号化時刻ラベルを復号化した後の時刻を示す復号化時刻ラベルを対応付けた情報を保持している。例えば、暗号化時刻ラベル保持手段２６ａ、２６ｂには３年分の情報を、暗号化時刻ラベル保持手段３３ａ、３３ｂには２０年分の情報を保持するなど、暗号化時刻ラベル保持手段３３ａ、３３ｂに、暗号化時刻ラベル保持手段２６ａ、２６ｂよりも十分長い期間の時刻に対応した情報を保持する。なお、暗号化時刻ラベル保持手段３３ａ、３３ｂに、家電機器１０の有効期限に対応した期間分の情報を保持しておくようにしてもよい。これにより、家電機器１０の有効期限を過ぎた場合には、時刻が復号化できなくなる。以下では、暗号化時刻ラベルＡに対応した復号化時刻ラベルを復号化時刻ラベルＡ、暗号化時刻ラベルＢに対応した復号化時刻ラベルを復号化時刻ラベルＢと記載する。
【００３７】
図５は、電源制御手段３６の備える記憶手段に許可情報として保持される電源制御状況フラグを説明するための図である。
同図に示すように、電源制御状況フラグには、４つのフラグＦ０〜Ｆ３があり、各フラグＦ０〜Ｆ３には、それぞれ、時刻正常フラグまたは時刻異常フラグが設定される。フラグＦ０には、ローカル時計部２０が正常であることを示す時刻正常フラグＮ０、または、異常であることを示す時刻異常フラグＥ０が設定される。フラグＦ１には、時刻監査が正常であることを示す時刻正常フラグＮ１、または、異常であることを示す時刻異常フラグＥ１が設定される。フラグＦ２には、時刻監査証明書で示される有効期間内であることを示す時刻正常フラグＮ２、または、有効期間外であることを示す時刻異常フラグＥ２が設定される。フラグＦ３には、時刻Ａと時刻Ｂの比較の結果、時刻が正常であることを示す時刻正常フラグＮ３、または、異常であることを示す時刻異常フラグＥ３が設定される。
【００３８】
図６は、時刻監査証明書に設定される有効期限と、家電機器１０の有効期限との関係を示す図である。
同図に示すように、家電機器１０は、工場出荷時に最初に装着されたローカル時計部２０が生成した時刻に対する初期時刻監査結果として時刻監査局システム７０から時刻監査証明書を受信すると、当該時刻監査証明書に設定されている有効期限の情報を、当該家電機器１０の有効期限の情報として保持し、使用する。一度受けた時刻監査証明書は、家電制御処理部３０の時刻監査証明書保持手段３９に保管しておき、ローカル時計部２０が交換されたときには、家電制御処理部３０のローカル時計識別番号確認手段３４により、保管している時刻監査証明書を無効にするための電源制御状況フラグが設定される。ローカル時計部２０が交換されたときには、さらに、交換されたローカル時計部２０により生成された時刻に対する時刻監査を行い、その監査結果として時刻監査局システム７０から時刻監査証明書を受信する。２回目以降に受信する時刻監査証明書の有効期限が、初期時刻監査による有効期限よりも先の日付である場合、その有効期限の情報は、ローカル時計部２０の生成する時刻が正常であるかを確認するために使用され、家電機器１０の有効期限としては、初期時刻監査における有効期限が引き続き利用される。
【００３９】
時刻監査証明書に設定される有効期限を、（１）家電機器１０の動作保証期限として使用する、あるいは、（２）家電機器１０の次回点検までの期限として使用することができる。
（１）の場合、家電機器１０は、工場出荷時に最初に装着されたローカル時計部２０の生成した時刻の監査結果として受信した時刻監査証明書に設定されている有効期限の情報（例えば、２０年間）を、当該家電機器１０の動作保証期限を示す情報として使用する。このとき、ローカル時計部２０には、家電機器１０の次回点検まで時刻を生成するよう、暗号化時刻ラベル保持手段２６ａ及び２６ｂに、次回点検までの期間（例えば、３年間）に対応した時刻ラベルを保持し、この期間を過ぎた場合には、時刻の情報を出力できないようにする。従って、残日数ラベルに基づいて残日数を表示することにより、ユーザへ家電機器１０の次回点検が近く、これを過ぎると当該家電機器１０が使用不可となることを知らせる。そして、業者が点検を行った結果、家電機器１０が正常であった場合、当該業者が、その次の点検までの期間（例えば、１年間）に対応した時刻ラベルを保持する新たなローカル時計部２０に交換する。新たなローカル時計部２０により生成された時刻については再び時刻監査を行い、その監査結果として時刻監査局システム７０から時刻監査証明書を受信する。しかし、この時刻監査証明書の有効期限は、家電機器１０の有効期限としては使用しない。
【００４０】
一方、（２）の場合、家電機器１０は、工場出荷時に最初に装着されたローカル時計部２０が生成した時刻の監査結果として時刻監査局システム７０から受信した時刻監査証明書に設定されている有効期限の情報を、当該家電機器１０の次回点検までの期間を示す情報（例えば、３年間）として保持する。このとき、ローカル時計部２０には、当該ローカル時計部２０が正しく動作可能と保証される使用期限（例えば、独立電源手段２２ａ及び２２ｂが電力を供給できる期間、発振手段２３ａ及び２３ｂが正確な時刻の発振信号を生成できる期間）に対応した時刻ラベルを保持し、この期間を過ぎた場合には、時刻の情報を出力できないようにする。従って、残日数ラベルに基づいて残日数を表示することにより、ユーザへローカル時計部２０の寿命が近く、これを過ぎると当該家電機器１０が使用不可となることを知らせる。ユーザによりローカル時計部２０が交換された場合、この新たなローカル時計部２０により生成された時刻については再び時刻監査を行い、その監査結果として時刻監査局システム７０から時刻監査証明書を受信する。しかし、この時刻監査証明書の有効期限は、家電機器１０の有効期限としては使用しない。
【００４１】
そして、次回点検日の前後に業者は家電機器１０の点検を行い、その結果、家電機器１０が正常であった場合、当該業者は家電機器１０に期限延長指示を入力する。あるいは、家電機器１０がネットワークに接続さるいわゆるネット家電であれば、保守業者がネットワークを介して接続される点検用の端末により家電機器１０の点検を行い、その結果、家電機器１０が正常であった場合、当該端末等から家電機器１０に期限延長指示をネットワークを介して送信する。これにより、家電機器１０は、ローカル時計部２０の生成した時刻により時刻監査を要求し、その監査結果として時刻監査局システム７０から時刻監査証明書を受信すると、当該時刻監査証明書に設定されている有効期限の情報により（例えば、１年間）、当該家電機器１０の次回点検までの期間を示す情報を更新する。
【００４２】
次に、家電機器１０の動作について説明する。
図７は、家電機器１０の概要動作フローを示す図であり、各フローは繰り返し実行される。
まず、工場において、ローカル時計部２０に時刻Ａ及び時刻Ｂの初期設定を行なう（ステップＳ１０１）。初期設定後、ローカル時計部２０は、時刻Ａ及び時刻Ｂの生成を開始し、一定周期（例えば、１秒毎）にて、時刻Ａが生成される度に、生成された時刻Ａに対応した暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、及び、残日数ラベルＡの情報からなる送信データＡを、時刻Ｂが生成される度に、生成された時刻Ｂに対応した暗号化時刻ラベルＢ、識別番号Ｂ、ハッシュ値Ｂ、及び、残日数ラベルＢの情報からなる送信データＢを出力する（ステップＳ１０２）。
【００４３】
電源制御処理部３０は、ローカル時計部２０から送信データＡ、送信データＢを受信する毎にそれぞれ送信データの正当性を確認し、送信データＡの暗号化時刻ラベルＡからは時刻Ａを、送信データＢの暗号化時刻ラベルＢからは時刻Ｂを得る（ステップＳ１１１）。電源制御処理部３０は、得られた時刻Ａと時刻Ｂとを比較して時刻が正常であるか否かを判定し、その判定結果を示す電源制御状況フラグを許可情報として保持する（ステップＳ１１２）。
【００４４】
電源制御処理部３０は、ステップＳ１１１により得た時刻Ａの情報と、当該家電機器１０の機器認証証明書とを設定した時刻監査要求を、ローカル時計部２０の装着時、または、期限延長指示の入力時に時刻監査局システム７０に送信する。これにより、時刻監査局システム７０から時刻監査結果を示す時刻監査証明書を受信する（ステップＳ１２１）。電源制御処理部３０は、時刻が正常内の誤差であることを示す時刻監査証明書を受信したかを判断し、判断結果を示す電源制御状況フラグを許可情報として保持する。さらに、電源制御処理部３０は、時刻が正常内の誤差であることを示す時刻監査証明書を受信した場合、当該時刻監査証明書が、最初の時刻監査証明書であるか、または、期限延長指示の入力により時刻監査を行った結果の時刻監査証明書である場合、当該時刻監査証明書の有効期限の情報を、家電機器１０の有効期限の情報として保持する。
【００４５】
電源制御処理部３０は、受信した時刻監査証明書を保持し、所定の時間毎に（例えば、送信データの受信毎、あるいは、１日１回など）、ローカル時計部２０から通知された時刻Ａが、保持している時刻監査証明書により示される有効期限を越えていないかをチェックする（ステップＳ１２２）。電源制御処理部３０は、次の時刻監査証明書を受信するまで、受信した時刻監査証明書を保持する。
【００４６】
ユーザが、家電機器１０の電源スイッチ６０をＯＮにすると、電源制御処理部３０は、第一電源制御部６１からメイン機能部６２の実行要求としての電源ＯＮ要求を受信する。電源制御処理部３０は、許可情報（電源制御状況フラグ）により、ステップＳ１１２において時刻Ａと時刻Ｂの比較による時刻が正常であると判断され、かつ、ステップＳ１２１において受信した時刻監査証明書から時刻が正常内の誤差であると判断され、かつ、現在の時刻が当該家電機器１０の有効期限内であると判断されたことを確認した場合に、第一電源制御部６１へ、メイン機能部６２の実行許可として、電源ＯＮ許可を返送する（ステップＳ１３１）。
【００４７】
次に、家電機器１０の詳細な動作について説明する。なお、ここでは、発振手段２３ａ、２３ｂは、１秒周期の発振信号を出力するものとする。
【００４８】
図８は、図７のステップＳ１０１における時刻初期設定処理の詳細なフローである。ここでは、時刻Ａの初期設定を行う場合について説明する。
ローカル時計部２０の時刻設定手段２１は、当該時刻設定手段２１の備えるに記憶手段に、時刻Ａが初期設定済みであることを示すフラグが設定されているかを判断する（ステップＳ２０１）。時刻設定手段２１は、時刻Ａの初期設定済みを示すフラグが設定されていないと判断した場合（ステップＳ２０１：ＹＥＳ）、外部の時刻設定装置から、ＴＡより出力された時刻に基づく時刻ラベルを受信し、この時刻ラベルの受信タイミングと、発振手段２３ａにより生成される発振信号Ａとを同期させる（ステップＳ２０２）。時刻設定手段２１は、ステップＳ２０２において同期を行った結果の同期誤差が、所定の規定値より小さいか否かを判断する（ステップＳ２０３）。所定の規定値以上であると判断した場合（ステップＳ２０３：ＮＯ）、ステップＳ２０２に戻り、再び同期処理を行う。
【００４９】
そして、ステップＳ２０２において同期を行った結果の同期誤差が、所定の規定値より小さいと判断した場合（ステップＳ２０３：ＹＥＳ）、時刻制御手段２４ａは、取得した時刻Ａを示す時刻ラベルを時刻Ａ一時保持手段２５ａに設定し（ステップＳ２０４）、時刻設定手段２１は、時刻設定手段２１の備える記憶手段に、時刻Ａが初期設定済みであることを示すフラグを設定する（ステップＳ２０５）。
なお、ステップＳ２０１において、時刻Ａの初期設定済みを示すフラグが設定されていると判断した場合は（ステップＳ２０１：ＮＯ）、そのまま処理を終了する。
【００５０】
上記では時刻Ａの初期設定処理について説明したが、時刻Ｂの初期設定についても同様である。時刻Ｂの初期設定処理の場合、発振手段２３ａ、時刻制御手段２４ａ、時刻Ａ一時保持手段２５ａ、発振信号Ａ、時刻Ａをそれぞれ、発振手段２３ｂ、時刻制御手段２４ｂ、時刻Ｂ一時保持手段２５ｂ、発振信号Ｂ、時刻Ｂと置き換えればよい。
【００５１】
図９は、図７のステップＳ１０２における時刻生成送信処理の詳細なフローである。ここでは、時刻Ａの時刻生成送信処理を行う場合について説明する。
時刻制御手段２４ａは、発振手段２３ａ（発振手段Ａ）から出力される発振信号Ａの発振立ち上がりのタイミングにより、時刻Ａ一時保持手段２５ａに保持されている過去の時刻Ａである時刻Ａ’を取得し、この時刻Ａ’にプラス１秒を追加して新たな時刻Ａを生成し、時刻Ａ一時保持手段２５ａに設定する（ステップＳ３０１）。時刻制御手段２４ａは、時刻Ａに対応した暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、及び、残日数ラベルＡの情報を暗号化時刻ラベル保持手段２６ａから読み出す（ステップＳ３０２）。時刻制御手段２４ａは、読み出したデータが０ではないかにより、暗号化時刻ラベル保持手段２６ａからの情報の読み出しに成功したか否かを判断する（ステップＳ３０３）。情報の読み出しに成功したと判断した場合（ステップＳ３０３：ＹＥＳ）、信号送信手段２７は、暗号化時刻ラベル保持手段２６ａから読み出された暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、及び、残日数ラベルＡの情報からなる送信データＡを電源制御処理部３０へ送信し（ステップＳ３０４）、再びステップＳ３０１からの処理を繰り返す。なお、暗号化時刻ラベル保持手段２６ａからの情報の読み出しに失敗したと判断した場合（ステップＳ３０３：ＮＯ）、処理を終了する。
【００５２】
上記では時刻Ａの時刻生成送信処理について説明したが、時刻Ｂの時刻生成送信処理についても同様である。時刻Ｂの時刻生成送信処理の場合、発振手段２３ａ、時刻制御手段２４ａ、時刻Ａ一時保持手段２５ａ、暗号化時刻ラベル保持手段２６ａ、発振信号Ａ、時刻Ａ、時刻Ａ’、送信データＡ、暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、残日数ラベルＡをそれぞれ、発振手段２３ｂ、時刻制御手段２４ｂ、時刻Ｂ一時保持手段２５ｂ、暗号化時刻ラベル保持手段２６ｂ、発振信号Ｂ、時刻Ｂ、時刻Ｂ’、送信データＢ、暗号化時刻ラベルＢ、識別番号Ｂ、ハッシュ値Ｂ、残日数ラベルＢと置き換えればよい。
【００５３】
図１０は、図７のステップＳ１１１における時刻設定処理の詳細なフローである。ここでは、時刻Ａの時刻設定処理を行う場合について説明する。
電源制御処理部３０の信号受信手段３１は、ローカル時計部２０から送信データＡを受信する（ステップＳ４０１）。復号化手段３２は、送信データＡに設定されている暗号化時刻ラベルＡがオール０（０の羅列）ではなく、かつ、以前に受信した暗号化時刻ラベルＡと一致しないかにより、暗号化時刻ラベルＡが無効ではないかを判断する（ステップＳ４０２）。暗号化時刻ラベルＡが有効であると判断した場合（ステップＳ４０２：ＹＥＳ）、復号化手段３２は、暗号化時刻ラベル保持手段３３ａから、当該暗号化時刻ラベルＡに対応した復号化時刻ラベルＡを読み出す（ステップＳ４０３）。なお、このとき、前回復号化時刻ラベルＡを読み出した行以降の行を順に検索するか、または、前回復号化時刻ラベルＡを読み出した行の近傍の行のみを検索することにより、処理を高速化することができる。復号化手段３２は、現在時刻Ａ保持手段３５ａに保持されている過去の時刻Ａである時刻Ａ’を取得し、読み出した復号化時刻ラベルＡにより示される時刻、すなわち、時刻Ａが、時刻Ａ’よりも進んだ時刻であるか否かを判断する（ステップＳ４０４）。
【００５４】
時刻Ａが時刻Ａ’よりも進んだ時刻であると判断した場合（ステップＳ４０４：ＹＥＳ）、ローカル時計識別番号確認手段３４は、時計識別により正当性を確認する（ステップＳ４０５）。この処理の詳細は後述する。
【００５５】
ローカル時計識別番号確認手段３４により時計識別が正当であると判断されると、復号化手段３２は、復号化時刻ラベルＡを時刻Ａ保持手段３５ａに格納し（ステップＳ４０６）、電源制御手段３６の備える記憶手段に、時計正常フラグＮ０を設定する（ステップＳ４０７）。復号化手段３２は、送信データＡに設定されている残日数ラベルＡが負の値であった場合（ステップＳ４０８：ＹＥＳ）、再びステップＳ４０１からの処理を繰り返し、残日数ラベルＡが正の値であった場合（ステップＳ４０８：ＮＯ）、表示手段５２に残日数を表示したり、図示しない警告手段（例えば、ローカル時計取替え時期が近いことを音声で知らせる装置など）により警告を出力して（ステップＳ４０９）、再びステップＳ４０１からの処理を繰り返す。
【００５６】
なお、ステップＳ４０２において、暗号化時刻ラベルＡが無効であると判断した場合（ステップＳ４０２：ＮＯ）、あるいは、ステップＳ４０４において、時刻Ａが時刻Ａ’より進んだ時刻ではないと判断した場合（ステップＳ４０４：ＮＯ）、復号化手段３２は、電源制御手段３６の備える記憶手段に、時計異常フラグＥ０を設定し（ステップＳ４１０）、処理を終了する。
【００５７】
上記では送信データＡを受信したときの時刻設定処理について説明したが、送信データＢを受信したときの時刻設定処理についても同様である。送信データＢを受信したときの時刻設定処理の場合、暗号化時刻ラベル保持手段３３ａ、時刻Ａ保持手段３５ａ、時刻Ａ、時刻Ａ’、送信データＡ、暗号化時刻ラベルＡ、復号化時刻ラベルＡ、識別番号Ａ、識別番号Ａ’、ハッシュ値Ａ、残日数ラベルＡをそれぞれ、暗号化時刻ラベル保持手段３３ｂ、時刻Ｂ保持手段３５ｂ、時刻Ｂ、時刻Ｂ’、送信データＢ、暗号化時刻ラベルＢ、復号化時刻ラベルＢ、識別番号Ｂ、識別番号Ｂ’、ハッシュ値Ｂ、残日数ラベルＢと置き換えればよい。
【００５８】
図１１は、図７のステップＳ１１２における時刻比較処理の詳細なフローである。
時刻比較手段４０は、時刻Ａ保持手段３５ａから時刻Ａの情報を、時刻Ｂ保持手段３５ｂから時刻Ｂの情報を取得し（ステップＳ５０１）、時刻Ａと時刻Ｂとの時刻の誤差が所定の規定値より小さいかを判断する（ステップＳ５０２）。時刻Ａと時刻Ｂとの時刻の誤差が所定の規定値より小さいと判断した場合（ステップＳ５０２：ＹＥＳ）、時刻比較手段４０は、電源制御手段３６の備える記憶手段に、時計正常フラグＮ３を設定し（ステップＳ５０３）、ステップＳ５０１の処理へ戻る。一方、時刻Ａと時刻Ｂとの時刻の誤差が所定の規定値以上であると判断した場合（ステップＳ５０２：ＮＯ）、時刻比較手段４０は、電源制御手段３６の備える記憶手段に、時計異常フラグＥ３を設定するとともに（ステップＳ５０４）、表示手段５２または図示しない警告手段により警告を出力してローカル時計の交換を促す（ステップＳ５０５）。
【００５９】
図１２は、ローカル時計部２０が装着されたときに実行される、図７のステップＳ１２１における時刻監査処理の詳細なフローである。ローカル時計部２０が装着されたことは、例えば、送信データＡに設定されている識別情報Ａが、これまでに受信した識別情報Ａとは異なることを検出することにより認識可能である。
時刻監査制御手段３７は、ローカル時計部２０の装着を検出するか、あるいは、時刻監査局システム７０から時刻監査の指示を受信する（ステップＳ６０１）。時刻監査制御手段３７は、時刻監査局システム７０からＴＡの機器認証証明書を受信し（ステップＳ６０２）、正当性を確認する（ステップＳ６０３）。さらに署名鍵・証明書保持手段３８から取得した当該家電機器１０の機器認証証明書を時刻監査局システム７０に送信することで時刻監査局システム７０によって家電機器１０が正しいことが確認されると（ステップＳ６０３：ＹＥＳ）、通信手段５０は、ＳＳＬ（Secure Socket Layer）による暗号化通信等により時刻監査局システム７０との通信を確立する。時刻監査制御手段３７は、時刻Ａ保持手段３５ａから時刻Ａを取得し、取得した時刻Ａを設定した時刻監査要求を時刻監査局システム７０へ送信する（ステップＳ６０４）。
【００６０】
通信エラー等の異常が発生せず、時刻監査要求の送信が成功した場合（ステップＳ６０５：ＹＥＳ）、時刻監査制御手段３７は時刻監査局システム７０から時刻監査証明書を受信する。時刻監査制御手段３７は、受信した時刻監査証明書と、送信データＡ内の識別番号Ａとを時刻監査証明書保持手段３９に書き込む（ステップＳ６０６）。時刻監査制御手段３７は、受信した時刻監査証明書の有効期限の情報に正常な値（正の値）が設定されていれば時刻監査が成功したと判断し（ステップＳ６０７：ＹＥＳ）、さらに、過去に初期の時刻監査証明書をすでに受信しているかを判断する（ステップＳ６０８）。これは、例えば、電源制御手段３６の備える記憶手段に、家電機器１０の有効期限の情報がすでに設定されているか否かによって判断することができる。初期の時刻監査証明書を受信していない場合（ステップＳ６０８：ＮＯ）、電源制御手段３６の備える記憶手段に、当該時刻監査証明書の有効期限の情報を設定するとともに、時計正常フラグＮ１、Ｎ２を設定する（ステップＳ６０９）。
【００６１】
一方、初期の時刻監査証明書をすでに受信している場合（ステップＳ６０８：ＹＥＳ）、初期の時刻監査証明書の有効期限内で家電機器１０の有効期間を電源制御手段３６の備える記憶手段へ設定し、時計正常フラグＮ１、Ｎ２を設定する（ステップＳ６０９）。すなわち、電源制御手段３６の備える記憶手段に保持されている家電機器１０の有効期限の情報と、受信した当該時刻監査証明書の有効期限の情報を比較し、この記憶手段に保持されている有効期限のほうが短ければ、当該記憶手段に記憶されている有効期限をそのまま保持し、受信した時刻監査証明書の有効期限のほうが短ければ、当該時刻監査証明書に設定されている有効期限の情報により、当該記憶手段に保持されている家電機器１０の有効期限の情報を更新する（ステップＳ６１０）。
【００６２】
ステップＳ６０９あるいはＳ６１０における家電機器１０の有効期限の設定後、時刻比較手段４０は、時刻監査証明書内の監査時刻と、時刻Ａ保持手段３５ａから取得した時刻Ａと、時刻Ｂ保持手段３５ｂから取得した時刻Ｂの情報とから、時刻監査証明書内の監査時刻に対する時刻Ｂの時刻誤差を算出する（ステップＳ６１１）。算出した時刻ＢのＴＡ時刻に対する時刻誤差が所定の規定値より小さい場合（ステップＳ６１２：ＹＥＳ）、処理を終了する。
【００６３】
なお、ステップＳ６０３において、ＴＡの機器認証証明書が正しくないと判断した場合（ステップＳ６０３：ＮＯ）、ステップＳ６０５において、時刻監査要求の送信が失敗した場合（ステップＳ６０５：ＮＯ）は、そのまま処理を終了する。また、ステップＳ６０７において、時刻監査証明書内の時刻の有効期限の情報が正ではない場合（ステップＳ６０７：ＮＯ）、または、算出した時刻ＢのＴＡ時刻に対する時刻誤差が所定の規定値以上である場合（ステップＳ６１２：ＮＯ）、電源制御手段３６の備える記憶手段に、時計異常フラグＥ１を設定する（ステップＳ６１３）。このとき、表示手段５２または図示しない警告手段により警告を出力してローカル時計の交換を促すようにしてもよい。
【００６４】
図１３は、家電機器１０が期限延長指示を受けたときに実行される、図７のステップＳ１２１における時刻監査処理の詳細なフローである。図１３において、ステップＳ６５１〜Ｓ６５７までの処理は、図１２におけるステップＳ６０１〜Ｓ６０７までの処理を同じである。そして、図１３においては、図１２のステップＳ６０８における初期の時刻監査証明書を受信しているかの判断処理を行わずに、ステップＳ６０９と同様に、電源制御手段３６の備える記憶手段に、当該時刻監査証明書の有効期限の情報を家電機器１０の有効期限として設定するとともに、時計正常フラグＮ１、Ｎ２を設定する（ステップＳ６０８）。以降のステップＳ６５９〜Ｓ６６１の処理は、図１２のステップＳ６１１〜Ｓ６１３の処理と同様である。
【００６５】
図１４は、図７のステップＳ１２２における時刻監査証の有効期限チェック処理の詳細なフローである。
時刻監査制御手段３７は、電源制御手段３６に時刻正常フラグＮ１が設定されている場合（ステップＳ７０１）、時刻Ａ保持手段３５ａから時刻Ａの情報を読み出す（ステップＳ７０２）。時刻監査制御手段３７は、読み出した時刻Ａが、時刻監査証明書保持手段３９に保持されている時刻監査証明書に設定されている有効期限内である場合（ステップＳ７０３：ＹＥＳ）、電源制御手段３６の備える記憶手段に、時刻正常フラグＮ２を設定する（ステップＳ７０４）。さらに、時刻監査制御手段３７は、規定の日数（または時間）の後に、時刻監査証明書に設定されている有効期限となるかを判断する（ステップＳ７０５）。規定の日数（または時間）の後にはまだ有効期限とはならないと判断した場合は、ステップＳ７０１からの処理を繰り返す。一方、規定の日数（または時間）の後に有効期限となると判断した場合は、表示手段５２または図示しない警告手段に残日数または残り時間を表示して、時刻監査証明書の期限が近いことを警告し（ステップＳ７０６）、ステップＳ７０１からの処理を繰り返す。
【００６６】
なお、時刻監査制御手段３７は、電源制御手段３６に時刻正常フラグＮ１が設定されていない場合（ステップＳ７０１：ＮＯ）、処理を終了する。
また、ステップＳ７０３において、読み出した時刻Ａが、時刻監査証明書に設定されている有効期限を超えている場合（ステップＳ７０３：ＮＯ）、電源制御手段３６の備える記憶手段に時刻異常フラグＥ２を設定する（ステップＳ７０７）。
【００６７】
図１５は、図７のステップＳ１３１における電源機能制御処理の詳細なフローである。
ユーザが、電源スイッチ６０を操作して電源をＯＮにすると、第一電源制御部６１は、電源スイッチ６０から電源ＯＮ要求を受信し、この電源ＯＮ要求を電源制御処理部３０へ出力する。これにより、電源制御処理部３０の電源制御手段３６は、電源ＯＮ要求を受信する（ステップＳ８０１）。電源制御手段３６は、自身の備える記憶手段に時計正常フラグＮ０が設定されており（ステップＳ８０２：ＹＥＳ）、かつ、時刻比較によって時刻正常フラグＮ３が設定されている場合（ステップＳ８０３：ＹＥＳ）、時刻Ａ保持手段３５ａから現在時刻である時刻Ａの情報を取得する（ステップＳ８０４）。電源制御手段３６は、自身の備える記憶手段を参照し、時刻Ａが家電機器１０の有効期限内であり、かつ、時刻監査証明書保持手段３９に保持されている時刻監査証明書で示される有効期限内であり、かつ、時刻正常フラグＮ１及びＮ２が設定済みであると判断した場合（ステップＳ８０５：ＹＥＳ）、電源ＯＮ許可を第一電源制御部６１に出力する。第一電源制御部６１は、電源ＯＮ許可を受信すると、メイン機能部６２へ外部電源からの電力を供給する。
【００６８】
なお、電源制御手段３６の備える記憶手段に時計正常フラグＮ０が設定されていない場合（ステップＳ８０２：ＮＯ）、時刻正常フラグＮ３が設定されていない場合（ステップＳ８０３：ＮＯ）、時刻Ａが家電機器１０または時刻監査証明書の有効期限内ではない場合、あるいは、記憶手段に時刻正常フラグＮ１、Ｎ２が設定されていない場合（ステップＳ８０５：ＮＯ）、電源制御手段３６は、電源ＯＮ不許可を第一電源制御部６１に出力する（ステップＳ８０７）。第一電源制御部６１は、電源ＯＮ不許可を受信した場合は、外部電源からの電力をメイン機能部６２へは供給しない。
【００６９】
図１６は、時刻監査証有無確認処理のフローであり、所定の時間毎に、図１４の時刻監査証有効期限チェック処理の前に実行される。
時刻監査制御手段３７は、時刻監査証明書保持手段３９に時刻監査証明書が保持されているか否かを判断する（ステップＳ９０１）。時刻監査証明書が保持されている場合、図１４に示す時刻監査証有効期限チェック処理を実行し（ステップＳ９０２）、ステップＳ９０１からの処理を繰り返す。一方、時刻監査証明書保持手段３９に時刻監査証明書が保持されていない場合、電源制御手段３６の備える記憶手段に、時計異常フラグＥ１及びＥ２を設定し、ステップＳ９０１からの処理を繰り返す（ステップＳ９０３）。
【００７０】
図１７は、図１０のステップＳ４０５における時計識別確認処理の詳細なフローである。
ローカル時計識別番号確認手段３４は、送信データＡに設定されている暗号化時刻ラベルＡと識別番号Ａとを結合した情報から、ローカル時計部２０において保持しているハッシュアルゴリズムと同じアルゴリズムであるＳＨＡ１アルゴリズムを用いてハッシュ値αを算出する（ステップＳ１００１）。ローカル時計識別番号確認手段３４は、算出されたハッシュ値αの前半２０桁が送信データＡに設定されているハッシュ値Ａと同じであれば（ステップＳ１００２：ＹＥＳ）、時刻監査証明書保持手段３９に保管されている識別番号Ａ’を取得し（ステップＳ１００３）、送信データＡから取得した識別番号Ａと一致するかを判断する（ステップＳ１００４）。ローカル時計識別番号確認手段３４は、識別番号Ａ’と識別番号Ａとが一致する場合（ステップＳ１００４：ＹＥＳ）、処理を終了し、一致しない場合（ステップＳ１００４：ＮＯ）、電源制御手段３６に時計異常フラグＥ１及びＥ２を設定する（ステップＳ１００５）。
【００７１】
また、ステップＳ１００２において、算出されたハッシュ値αが送信データＡに設定されているハッシュ値Ａと一致しないと判断された場合、ローカル時計識別番号確認手段３４は、時刻監査証明書保持手段３９に保管されている時刻監査証明書を消去するとともに（ステップＳ１００６）、電源制御手段３６の備える記憶手段に、時計異常フラグＥ０を設定する（ステップＳ１００７）。
【００７２】
上記では送信データＡを受信したときの時計識別確認処理について説明したが、送信データＢを受信したときの時計識別確認処理についても同様である。送信データＢを受信したときの時計識別確認処理の場合、送信データＡ、暗号化時刻ラベルＡ、識別番号Ａ、ハッシュ値Ａ、識別番号Ａ’をそれぞれ、時刻Ｂ、送信データＢ、暗号化時刻ラベルＢ、識別番号Ｂ、ハッシュ値Ｂ、識別番号Ｂ’に置き換えればよい。
【００７３】
このように、ローカル時計部２０から送信される送信データにローカル時計部２０を特定する固有の識別番号と、ハッシュ値を含めることにより、家電制御処理部３０側において、過去に時刻監査証を受けた時計の識別番号と比較され、変更があれば過去に受けた時刻監査証を無効にする。ハッシュ値は、暗号化時刻ラベルと識別番号から生成されるが、ハッシュ値があることで、暗号化時刻ラベルをローカル時計部２０ごとに作成する必要が無いため、家電制御処理部３０が保管すべき復号用データを減らすことができる。また、新しいローカル時計部２０と偽の識別番号（固定であるため）を入力することによる時刻監査証の引き続きの使用を阻止できる。
従って、時刻監査証明書の有効期限内であれば、家電機器１０の電源が切れても再度、起動時に、時刻監査を新たに受ける必要が無く電源制御を行うことができる。
【００７４】
図１８は、家電機器１０のハードウェア構成の例を示す。
図１８において、家電機器１０は、ＣＰＵ１１１、ＲＯＭ１１２、ＲＡＭ１１３、記憶部１１４、ハードウェアセキュリティ部１１５、通信制御部１１６、入出力Ｉ／Ｆ１１７、表示部１１８、第一電源制御部６１及びメイン機能部６２をバス１１９により接続してなる。
ＣＰＵ１１１は、ＲＯＭ１１２からシステムプログラムを読み出し、各部の制御を行う。ＲＡＭ１１３ｂは、ＣＰＵ１１１が各種プログラムを実行する際のワークエリアなどがある。記憶部１１４は、ハードディスクなどであり、各種プログラムなどを記憶するとともに、データを記憶する。ハードウェアセキュリティ部１１５は、家電制御処理部３０を実現する。通信制御部１１６は、入出力Ｉ／Ｆ１１７による外部へのデータの出力及び入力を制御し、これらにより通信手段５０を実現する。表示部１１８は、ディスプレイなどの表示装置であり、表示手段５２を実現する。
【００７５】
ローカル時計部２０のハードウェアセキュリティ部は、ＣＰＵ（central processing unit）１０１ａ、ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）１０２ａ、ＲＡＭ（Random Access Memory）１０３ａ、電源部１０４ａ、時計１０５ａ、入力Ｉ／Ｆ（インタフェース）１０６ａ、及び、出力Ｉ／Ｆ１０７ａをバス１０８ａで接続した構成と、ＣＰＵ１０１ｂ、ＥＥＰＲＯＭ１０２ｂ、ＲＡＭ１０３ｂ、電源部１０４ｂ、時計１０５ｂ、入力Ｉ／Ｆ（インタフェース）１０６ｂ、及び、出力Ｉ／Ｆ１０７ｂをバス１０８ｂで接続した構成とからなる。
【００７６】
ＣＰＵ１０１ａは演算や制御を行う中央演算装置であり、図２の時刻設定手段２１及び時刻制御手段２４ａを実現する。ＥＥＰＲＯＭ１０２ａは、時刻設定手段２１及び時刻制御手段２４ａのプログラムを記憶するとともに、暗号化時刻ラベル保持手段２６ａを実現する。ＲＡＭ１０３ａは、読み出し・書き込み可能なメモリであって、ＣＰＵ１０１ａが各種プログラムを実行する際のワークエリアなどがあり、時刻Ａ一時保持手段２５ａを実現する。電源部１０４ａは、独立電源手段２２ａを、時計１０５ａは発振手段２３ａを実現する。
同様に、ＣＰＵ１０１ｂは時刻設定手段２１及び時刻制御手段２４ｂを実現し、ＥＥＰＲＯＭ１０２ｂは、時刻設定手段２１及び時刻制御手段２４ｂのプログラムを記憶するとともに、時刻設定手段２１及び暗号化時刻ラベル保持手段２６ｂを実現する。ＲＡＭ１０３ｂは、ＣＰＵ１０１ｂが各種プログラムを実行する際のワークエリアなどがあり、時刻Ｂ一時保持手段２５ｂを実現する。電源部１０４ｂは、独立電源手段２２ｂを、時計１０５ｂは発振手段２３ｂを実現する。
入力Ｉ／Ｆ１０６ａ、１０６ｂは外部からのデータの受信を可能とするものであり、時刻設定手段２１を実現し、出力Ｉ／Ｆ１０７ａ、１０７ｂは電源制御処理部３０へのデータ送信を可能とするものであり、信号送信手段２７を実現する。
【００７７】
家電制御処理部３０のハードウェアセキュリティ部１１５は、ＣＰＵ１２１、ＲＯＭ１２２、ＲＡＭ１２３、ＥＥＰＲＯＭ１２４により構成され、ローカル時計部２０の出力Ｉ／Ｆ１０７ａ、１０７ｂと通信線により接続される。
ＣＰＵ１２１はＲＯＭ１２２からプログラムを読み出して、復号化手段３２、ローカル時計識別番号確認手段３４、電源制御手段３６、時刻監査制御手段３７、時刻比較手段４０を実現する。ＲＡＭ１２３は、時刻Ａ保持手段３５ａ、時刻Ｂ保持手段３５ｂ、時刻監査証明書保持手段３９を実現し、ＥＥＰＲＯＭ１２４は、暗号化時刻ラベル保持手段３３ａ及び３３ｂ、署名鍵・証明書保持手段３８を実現する。
【００７８】
図１９は、ローカル時計部２０として用いる耐タンパローカル時計の外観を示す図である。耐タンパローカル時計は、ＣＰＵ、ＲＡＭ、ＥＥＰＲＯＭ、発振器、電池等からなる内部モジュールを樹脂でパッケージした内部モジュールケースと、内部モジュールへ外部からの信号を入力するための信号送信用端子（初期時刻設定用端子としても使用される）と、内部モジュールケースに巻きつけられるコイルの端子と接続される端子Ｘ、端子Ｙとを備える。
【００７９】
図２０は、ローカル時計部２０のモジュール構成を示す図である。図２０（ａ）は、コイル１の形状を、図２０（ｂ）はコイル２の形状を示している。コイル１及びコイル２は、それぞれ１本の電線であり、コイル１が内部モジュールの周囲に巻きつけられ、さらにその周囲に、コイル２がコイル１とは直交する方向に巻きつけられる。そして、コイル端子Ｘが、コイル１の一方の端子とつながり、コイル１のもう一方の端子が、コイル２一方の端子とつながり、コイル２のもう一方の端子が、コイル端子Ｙとつながることで、コイル端子Ｘとコイル端子Ｙは１本の電線として作用する。このようにコイル１、２を巻きつけた後、図２０（ｃ）に示すような外部モジュールケースに入れて樹脂パッケージすると、図２０（ｄ）のようなモジュール構成となる。
【００８０】
図２１は、耐タンパローカル時計の不正操作検出を説明する図である。同図に示すように、コイルの先端は、ＣＰＵに接続されたスイッチの２つの端子にそれぞれ接続されている。このような構成において、コイルが破断されると、ＣＰＵが切断を検知して、ＥＥＰＲＯＭに保管されている暗号化時刻ラベルのデータを消去する。
【００８１】
具体的には、製造の過程でコイルが内部モジュールの外側から接続され、最初の切断された状態を０、コイルが接続された状態を１、コイルが破断した状態を２としたときに、ＲＡＭ上には、最初状態０が設定されており、ＥＥＰＲＯＭのデータは保護されている状態である。次に、コイルが接続されたときに、ＣＰＵが接続を検知して、ＲＡＭ上に状態１を設定する。ＲＡＭ上に状態１が設定されている状態においてＣＰＵが破断を検知すると、状態２を設定し、ＥＥＰＲＯＭ上のデータが消去される。
上記の仕組みにより、不正操作を目的として、外部の樹脂を破壊し、コイルを破壊した場合に、ＥＥＰＲＯＭ上の暗号化時刻データが消去されることから、不正に暗号化時刻ラベルを取り出すことができないようにすることが可能となる。
【００８２】
本実施の形態によれば、出荷時にのみ時刻設定が可能であり、以降は外部時刻からの校正・補正を受けないことから改ざんを受けないローカル時計による時刻を用いて、電気機器が安全に使用できることを保証する有効期限内であるかを判定し、家電等としての機能を行わせることができる。加えて、この電気機器の有効期限は、時刻監査機関に依存する。従って、時刻を改ざんして電気機器を動作させることはできず、有効期限を越えて不正に電気機器が使用し続けられるのを防ぐことが可能となる。
また、ローカル時計から出力される時刻ラベルが暗号化されているため、電気機器に未来の時刻を入れることを防ぐことができる。そして、この時刻ラベルをあらかじめ暗号化してローカル時計に保持することにより、ローカル時計に複雑な暗号処理装置を備える必要がない。さらに、過去に受けた時刻を再度受けることができず、リプレイ攻撃（暗号化されたデータを観察し、同じ内容を後ほど送信する）を遮断することも可能である。
また、時刻監査後にローカル時計が大幅にずれてしまった場合でも、２つの時計の時刻によりチェックを行うことで、不正な時刻による電気機器の制御が行われないようにすることができる。
【図面の簡単な説明】
【００８３】
【図１】本発明の一実施の形態による機器制御システムの構成を示す図である。
【図２】同実施の形態による家電機器の機能ブロック図である。
【図３】同実施の形態によるローカル時計部の暗号化時刻ラベル保持手段が保持するデータの例を示す図である。
【図４】同実施の形態による電源制御処理部の暗号化時刻ラベル保持手段が保持するデータの例を示す図である。
【図５】同実施の形態による電源制御手段が保持する電源制御状況フラグの例を示す図である。
【図６】同実施の形態による時刻監査証明書に設定される有効期限と、家電機器の有効期限との関係を示す図である。
【図７】同実施の形態による家電機器の概要処理フローを示す図である。
【図８】同実施の形態による家電機器の時刻初期設定処理フローを示す図である。
【図９】同実施の形態による家電機器の時刻生成送信処理フローを示す図である。
【図１０】同実施の形態による家電機器の時刻設定処理フローを示す図である。
【図１１】同実施の形態による家電機器の時刻比較処理フローを示す図である。
【図１２】同実施の形態による家電機器の時刻監査処理フローを示す図である。
【図１３】同実施の形態による家電機器の時刻監査処理フローを示す図である。
【図１４】同実施の形態による家電機器の時刻監査証有効期限チェック処理フローを示す図である。
【図１５】同実施の形態による家電機器の電源機能制御処理フローを示す図である。
【図１６】同実施の形態による家電機器の時刻監査証有無確認処理フローを示す図である。
【図１７】同実施の形態による家電機器の時計識別確認処理フローを示す図である。
【図１８】同実施の形態による家電機器のハードウェア構成例を示す図である。
【図１９】同実施の形態による耐タンパローカル時計の構成例を示す図である。
【図２０】図１９に示す耐タンパローカル時計のモジュール構成図である。
【図２１】図１９に示す耐タンパローカル時計の不正操作検出を説明する図である。
【符号の説明】
【００８４】
１０…家電機器
２０…ローカル時計部（時計部）
２１…時刻設定手段（時刻設定部）
２２ａ，２２ｂ…独立電源手段（電源）
２３ａ，２３ｂ…発振手段（発振部、第１の発振部、第２の発振部）
２４ａ，２４ｂ…時刻制御手段（時刻制御部、第１の時刻制御部、第２の時刻制御部）
２５ａ…時刻Ａ一時保持手段
２５ｂ…時刻Ｂ一時保持手段
２６ａ，２６ｂ…暗号化時刻ラベル保持手段（暗号化時刻保持部）
２７…信号送信手段（信号送信部）
３０…電源制御処理部（機器制御処理部）
３１…信号受信手段（信号受信部）
３２…復号化手段（時刻取得部）
３３ａ，３３ｂ…暗号化時刻ラベル保持手段（復号化時刻保持部）
３４…ローカル時計識別番号確認手段（検出部）
３５ａ…時刻Ａ保持手段
３５ｂ…時刻Ｂ保持手段
３６…電源制御手段（制御部）
３７…時刻監査制御手段（時刻監査制御部）
３８…署名鍵・証明書保持手段
３９…時刻監査証明書保持手段
４０…時刻比較手段
５０…通信手段
５２…表示手段（出力部）
６０…電源スイッチ
６１…第一電源制御部（電源制御部）
６２…メイン機能部（機能部）
７０…時刻監査局システム
【図１】
0005180611.tif 000002
【図２】
0005180611.tif 000003
【図３】
0005180611.tif 000004
【図４】
0005180611.tif 000005
【図５】
0005180611.tif 000006
【図６】
0005180611.tif 000007
【図７】
0005180611.tif 000008
【図８】
0005180611.tif 000009
【図９】
0005180611.tif 000010
【図１０】
0005180611.tif 000011
【図１１】
0005180611.tif 000012
【図１２】
0005180611.tif 000013
【図１３】
0005180611.tif 000014
【図１４】
0005180611.tif 000015
【図１５】
0005180611.tif 000016
【図１６】
0005180611.tif 000017
【図１７】
0005180611.tif 000018
【図１８】
0005180611.tif 000019
【図１９】
0005180611.tif 000020
【図２０】
0005180611.tif 000021
【図２１】
0005180611.tif 000022